не рекомендую

дропиться полезный трафик.... в раве у меня "стукачи" (правила заносят в адрес листы)

в раве нет цепочки инпут... там только прероутинг, построутинг и оутпут

для безопастности, а если еще и делаются постоянные списки, то вообще бомба...

каждый по разному извращается

дропиться полезный трафик.... в раве у меня "стукачи" (правила заносят в адрес листы)

если роутер не резолвер, какой полезный трафик там дропается в input?

для wan интерфейса конешн

В РАВЕ НЕТ ИНПУТА

там только прероутинг.... а он может быть и инпут и форвард

вот по этому у меня в фильтре правила на дроп и режект по адрес листам

В РАВЕ НЕТ ИНПУТА

Да вы что, зато там есть in-interface-list

я больше скажу это есть и в фильтре

raw как пример был, вообще в дефолте (не блэнк) уже есть показательное action=drop in-interface=ether1

Я рав пользую для фильтра заНатеных портов... ибо дстНатнутые порты в фаервол фильтрах не ловятся

и ???

Илья, вы можете ради эксперемента в раве прописать дропнутое правило на 53 порт...

А зачем вообще фильтровать днс в раве извне?

флуд.... не весь днс.... я только в фиксирую не доброжелателей в раве, а в фильтре реджект с отсылкой сообщения, что порт не доступен

флуд.... не весь днс.... я только в фиксирую не доброжелателей в раве, а в фильтре реджект с отсылкой сообщения, что порт не доступен

не весь днс?

не весь днс?

на инпут флуд или спам

на ване

Окей чем правило в раве лучше /ip firewall filter add action=reject chain=input comment="drop DNS flood" dst-port=53 in-interface=sfp1-gateway protocol=udp reject-with=icmp-network-unreachab?

не понял вопроса

Окей чем правило в раве лучше /ip firewall filter add action=reject chain=input comment="drop DNS flood" dst-port=53 in-interface=sfp1-gateway protocol=udp reject-with=icmp-network-unreachab?

до трекинга не долетает и не грузит чпу

А мне почемуто кажется что реджект только на тср действует... на удп не канает.... (могу путать)

В РАВЕ нет инпута и форварда

тут есть вероятность того, что будет блокироваться полезный трафик

проходящий

до трекинга не долетает и не грузит чпу

ну только в этом смысл, но это если прям ОХ КАК МНОГО летит

тут есть вероятность того, что будет блокироваться полезный трафик

вероятность? какой например?

в роутер?

я думаю тут столкнулись 2 типа политик, я люблю на input с wan дропать "все кроме", а XerzErz видимо "разрешать все кроме" и тут нада dns прописывать, и ntp и snmp и четамеще?

В РАВЕ нет инпута и форварда

Вот мы и выяснили зачем правило, которое ловит и добавляет в адресЛист всех кто стучится извне на 53ий порт.... чтобы дропнуть этот адресЛист на раве

вероятность? какой например?

Господа!!! В РАВЕ нет ИНПУТА!!!! тут могут быть проблемы

с днсом

я думаю тут столкнулись 2 типа политик, я люблю на input с wan дропать "все кроме", а XerzErz видимо "разрешать все кроме" и тут нада dns прописывать, и ntp и snmp и четамеще?

0_о

Господа!!! В РАВЕ нет ИНПУТА!!!! тут могут быть проблемы

я тут как бы не про рав вообщем (:

Вот мы и выяснили зачем правило, которое ловит и добавляет в адресЛист всех кто стучится извне на 53ий порт.... чтобы дропнуть этот адресЛист на раве

ну так правило каждый запрос добавляет в лист, в "чем соль"? Видеть кучу ip ботов в листе?

0_о

промахнулся, там про Serg Vasin 😂

ну так правило каждый запрос добавляет в лист, в "чем соль"? Видеть кучу ip ботов в листе?

Ну хочется человеку... )))))) вот и соль

Ну хочется человеку... )))))) вот и соль

ссзб?

промахнулся, там про Serg Vasin 😂

)))))))))))))))) мой фаервол вообще лучше не видеть

что мы спорим .... Экспереминтируйте!!! у меня так может у вас лучше

один гуру на муме рекомендовал реджектить флуд на 53 порт

применять raw для дропа dns flood изврат ИМХО

это не изврат... это самоубийство....

/ip firewall filter add action=reject chain=input dst-port=53 protocol=udp reject-with=icmp-port-unreachable add action=reject chain=input dst-port=53 protocol=tcp reject-with=icmp-port-unreachable

взял отсюда https://mum.mikrotik.com/presentations/US17/presentation_4241_1496042977.pdf

почитайте полезная презенташка

встреча пользователей микротика

в октябре будет встреча https://mum.mikrotik.com/2017/RUM/agenda

по данному сету снова "разрешить все кроме" для ВСЕХ интерфейсов, я бэ такое не писал ...

Почему? Меня вот учили что raw меньше ресурсов жрет чем filter...

Почему? Меня вот учили что raw меньше ресурсов жрет чем filter...

Это бесспорно, но какой смысл ставить пво защиту против стрел?

Построить деревянный щит против стрел: 900 кредитов. Построить ядерное бомбоубежище(защищает от попадание ядерной боеголовки ну и до кучи от стрел): 600 кредитов. Ваш выбор?

Построить деревянный щит против стрел: 900 кредитов. Построить ядерное бомбоубежище(защищает от попадание ядерной боеголовки ну и до кучи от стрел): 600 кредитов. Ваш выбор?

Тогда мне довольно любопытно, почему это еще используют деревянные щиты? (:

1) Щит можно выпилить удобного размера) а не только 2х2х1.5 м 2) у нас же файрвол, т.е. огненная стенка. А деревянный щит может гореть и стать огненной стеной. А вот бомбоубежище врядли так сможет...

флуд.... не весь днс.... я только в фиксирую не доброжелателей в раве, а в фильтре реджект с отсылкой сообщения, что порт не доступен

А вот это идеологически неверно. Т.к. реджект тоже используется для атаки усиления. Снаружи всё нужно просто дропать. А в raw это ещё и дёшево

А вот это идеологически неверно. Т.к. реджект тоже используется для атаки усиления. Снаружи всё нужно просто дропать. А в raw это ещё и дёшево

Возможно! А почему же в раве дропается полезный трафик?

А вот это идеологически неверно. Т.к. реджект тоже используется для атаки усиления. Снаружи всё нужно просто дропать. А в raw это ещё и дёшево

Там же нет цепочки инпут

Господа!!! В РАВЕ нет ИНПУТА!!!! тут могут быть проблемы

Да что же Вы заладили? Нет, ибо до коннтрека расположен. В этом и есть его прелесть. По списку в нём дропать – пожалуйста. Какая разница – инпут, форвард, если выяснили, что от адреса отправителя ничего хорошего ждать не стоит?

ну так правило каждый запрос добавляет в лист, в "чем соль"? Видеть кучу ip ботов в листе?

Ну вот да. Бестолково это

Да что же Вы заладили? Нет, ибо до коннтрека расположен. В этом и есть его прелесть. По списку в нём дропать – пожалуйста. Какая разница – инпут, форвард, если выяснили, что от адреса отправителя ничего хорошего ждать не стоит?

Т.е. Вы предлагаете перенести правила которые добавляют в адрес лист в фильтр, а правила дропа по адрес листу в рав?

это не изврат... это самоубийство....

Если у вас в серой сетке есть днс-сервер, и вы к нему натите запросы – то да

Т.е. Вы предлагаете перенести правила которые добавляют в адрес лист в фильтр, а правила дропа по адрес листу в рав?

Один из бэстпрактисов

Один из бэстпрактисов

Хорошо! А что же в той презентухи выше я её цитировал рекомендует реджектить?

Один из бэстпрактисов

Надо протестить!!!!

Хорошо! А что же в той презентухи выше я её цитировал рекомендует реджектить?

Ну, я с этим не согласен. Смотрите. Помните детскую забаву? Вас кто-то толкает сзади, Вы разворачиваетесь и толкаете обидчика с двойной силой? А это оказался не он :) Тут точно так же: Вам прилетает фейковый запрос, вы можете его дропнуть (дёшево, в раве почти бесплатно), а можете ответить (режект). В последнем случае Вы тратите свои ресурсы на то, что не нужно, т.к. скорее всего Вас спрашивали не с того адреса, который стоит в заголовке, как src

Лично я призываю к разрешительной политике для wan: можно пинг/винбокс/л2тп, нельзя всё остальное (в т. ч. днс)

Снаружи в принципе не нужно отвечать на запросы, летящие на udp:53, поэтому в раве можно сделать правило по интерфейсу или интерфейс-листу, безо всяких уточнений в виде списка адресов

Лично я призываю к разрешительной политике для wan: можно пинг/винбокс/л2тп, нельзя всё остальное (в т. ч. днс)

+1 тренер

Сентябръ ждемс

Всем привет. заметил странное поведение routeos. При распространеении настроек посредсвом ssh было замечено на 40% что правило фаервола считает пакеты и трафик но не отрабатывает, перезагрузка и нажатие кнопки применить не помогает. но если в винбоксе в данном правиле тыкнуть в любое поле напримен галка лог и обратно отжать с дальнейшим применением настроек, то правило начинает работать коректно

никто с таким не сталкивался , как лечется?

Лечение описано же: "тыкнуть в любое поле"

Больше на костыль похоже, а не решение

Всем привет. заметил странное поведение routeos. При распространеении настроек посредсвом ssh было замечено на 40% что правило фаервола считает пакеты и трафик но не отрабатывает, перезагрузка и нажатие кнопки применить не помогает. но если в винбоксе в данном правиле тыкнуть в любое поле напримен галка лог и обратно отжать с дальнейшим применением настроек, то правило начинает работать коректно

Ни разу такое не видел. Всегда что из кли, что из винбокса работало всё нормально

Были подобные траблы с мангалами, когда просто заходил в правила и пересохранял, но сетовал на сырой 3011

Больше ни разу такого не было !

hAP AC MESH аля Amplifi или Unifi AP AC MESH умеет? В идеале на базе CAPsMAN'а qq all!